PHP安全之道—项目安全的架构、技术与实践+-+.pdf

目录：

- 目录 (Page 14)
- 第1章 PHP项目安全概述 (Page 22)
- 1.1 PHP项目安全形势不容乐观 (Page 22)
- 1.2 PHP项目安全问题产生的原因 (Page 24)
- 1.3 PHP项目安全原则 (Page 26)
- 1.3.1 不可信原则 (Page 26)
- 1.3.2 最小化原则 (Page 27)
- 1.3.3 简单就是美 (Page 28)
- 1.3.4 组件的安全 (Page 29)
- 1.4 小结 (Page 30)
- 第2章 PHP项目安全基础 (Page 31)
- 2.1 信息屏蔽 (Page 31)
- 2.1.1 屏蔽PHP错误信息 (Page 31)
- 2.1.2 防止版本号暴露 (Page 33)
- 2.2 防止全局变量覆盖 (Page 36)
- 2.3 使用PHP的访问限制 (Page 37)
- 2.3.1 文件系统限制 (Page 37)
- 2.3.2 远程访问限制 (Page 38)
- 2.3.3 开启安全模式 (Page 40)
- 2.3.4 禁用危险函数 (Page 42)
- 2.4 PHP中的Cookie安全 (Page 43)
- 2.4.1 Cookie的HttpOnly (Page 44)
- 2.4.2 Cookie的Secure (Page 44)
- 2.4.3 指定Cookie的使用范围 (Page 44)
- 2.5 PHP的安装与升级 (Page 45)
- 2.5.1 尽量减少非必要模块加载 (Page 48)
- 2.5.2 使用第三方安全扩展 (Page 48)
- 2.6 小结 (Page 49)
- 第3章 PHP编码安全 (Page 50)
- 3.1 弱数据类型安全 (Page 50)
- 3.1.1 Hash比较缺陷 (Page 51)
- 3.1.2 bool比较缺陷 (Page 53)
- 3.1.3 数字转换比较缺陷 (Page 55)
- 3.1.4 switch比较缺陷 (Page 58)
- 3.1.5 数组比较缺陷 (Page 59)
- 3.2 PHP代码执行漏洞 (Page 60)
- 3.2.1 代码执行的函数 (Page 60)
- 3.2.2 代码执行防御 (Page 64)
- 3.3 PHP变量安全 (Page 65)
- 3.3.1 全局变量覆盖 (Page 65)
- 3.3.2 动态变量覆盖 (Page 66)
- 3.3.3 函数extract()变量覆盖 (Page 68)
- 3.3.4 函数import_request_variables()变量覆盖 (Page 69)
- 3.3.5 函数parse_str()变量覆盖 (Page 70)
- 3.4 URL重定向安全 (Page 71)
- 3.5 请求伪造攻击 (Page 73)
- 3.5.1 服务器请求伪造 (Page 74)
- 3.5.2 SSRF漏洞的危害 (Page 74)
- 3.5.3 在PHP中容易引起SSRF的函数 (Page 76)
- 3.5.4 容易造成SSRF的功能点 (Page 78)
- 3.5.5 SSRF漏洞防御 (Page 79)
- 3.6 文件上传安全 (Page 83)
- 3.6.1 文件上传漏洞的危害 (Page 83)
- 3.6.2 文件上传漏洞 (Page 83)
- 3.6.3 检查文件类型防止上传漏洞 (Page 85)
- 3.6.4 检查文件扩展名称防止上传漏洞 (Page 87)
- 3.6.5 文件上传漏洞的综合防护 (Page 88)
- 3.7 避免反序列化漏洞 (Page 90)
- 3.8 小结 (Page 92)
- 第4章 PHP项目中的常见漏洞与防护 (Page 93)
- 4.1 SQL注入漏洞 (Page 93)
- 4.1.1 什么是SQL注入 (Page 93)
- 4.1.2 报错注入 (Page 95)
- 4.1.3 普通注入 (Page 95)
- 4.1.4 隐式类型注入 (Page 96)
- 4.1.5 盲注 (Page 97)
- 4.1.6 宽字节注入 (Page 98)
- 4.1.7 二次解码注入 (Page 99)
- 4.2 SQL注入漏洞防护 (Page 100)
- 4.2.1 MySQL预编译处理 (Page 100)
- 4.2.2 PHP使用MySQL的预编译处理 (Page 102)
- 4.2.3 校验和过滤 (Page 104)
- 4.2.4 宽字节注入防护 (Page 107)
- 4.2.5 禁用魔术引号 (Page 108)
- 4.3 XML注入漏洞防护 (Page 108)
- 4.4 邮件安全 (Page 108)
- 4.4.1 邮件注入 (Page 109)
- 4.4.2 防止邮件注入 (Page 110)
- 4.5 PHP组件漏洞防护 (Page 111)
- 4.5.1 RSS安全漏洞 (Page 111)
- 4.5.2 PHPMailer漏洞 (Page 112)
- 4.5.3 OpenSSL漏洞 (Page 113)
- 4.5.4 SSL v2.0协议漏洞 (Page 113)
- 4.6 文件包含安全 (Page 114)
- 4.6.1 文件包含漏洞 (Page 114)
- 4.6.2 避免文件包含漏洞 (Page 118)
- 4.7 系统命令注入 (Page 120)
- 4.7.1 易发生命令注入的函数 (Page 120)
- 4.7.2 防御命令注入 (Page 123)
- 4.8 小结 (Page 124)
- 第5章 PHP与客户端交互安全 (Page 125)
- 5.1 浏览器跨域安全 (Page 125)
- 5.1.1 浏览器同源策略 (Page 125)
- 5.1.2 浏览器跨域资源共享 (Page 127)
- 5.1.3 JSONP资源加载安全 (Page 129)
- 5.2 XSS漏洞防御 (Page 133)
- 5.2.1 反射型XSS (Page 134)
- 5.2.2 存储型XSS (Page 136)
- 5.2.3 DOM型XSS (Page 137)
- 5.2.4 通过编码过滤和转换进行防御 (Page 139)
- 5.2.5 开启HttpOnly防御XSS (Page 143)
- 5.2.6 对Cookie进行IP绑定 (Page 144)
- 5.2.7 浏览器策略防御XSS (Page 145)
- 5.3 警惕浏览器绕过 (Page 147)
- 5.4 跨站请求伪造防御 (Page 148)
- 5.4.1 CSRF请求过程 (Page 148)
- 5.4.2 CSRF防御方法 (Page 149)
- 5.5 防止点击劫持 (Page 153)
- 5.6 HTTP响应拆分漏洞 (Page 154)
- 5.7 会话攻击安全防御 (Page 157)
- 5.7.1 会话泄露 (Page 157)
- 5.7.2 会话劫持 (Page 159)
- 5.7.3 会话固定 (Page 160)
- 5.8 小结 (Page 161)
- 第6章 PHP与密码安全 (Page 162)
- 6.1 用户密码安全 (Page 162)
- 6.1.1 加密密码 (Page 162)
- 6.1.2 密码加盐 (Page 163)
- 6.1.3 定期修改 (Page 165)
- 6.2 防止暴力破解 (Page 165)
- 6.3 随机数安全 (Page 166)
- 6.4 数字摘要 (Page 168)
- 6.5 MAC和HMAC简介 (Page 169)
- 6.6 对称加密 (Page 171)
- 6.7 非对称加密 (Page 177)
- 6.8 小结 (Page 178)
- 第7章 PHP项目安全进阶 (Page 179)
- 7.1 单一入口 (Page 179)
- 7.1.1 实现方式 (Page 179)
- 7.1.2 单一入口更安全 (Page 180)
- 7.2 项目部署安全 (Page 180)
- 7.2.1 目录结构 (Page 181)
- 7.2.2 目录权限 (Page 182)
- 7.2.3 避免敏感配置硬编码 (Page 183)
- 7.3 保障内容安全 (Page 184)
- 7.3.1 不安全的HTTP传输 (Page 185)
- 7.3.2 HTTPS传输更安全 (Page 187)
- 7.3.3 HTTPS证书未验证 (Page 189)
- 7.3.4 防止盗链 (Page 189)
- 7.3.5 敏感词 (Page 191)
- 7.4 防止越权和权限控制 (Page 192)
- 7.4.1 什么是越权访问 (Page 192)
- 7.4.2 造成越权的原因 (Page 193)
- 7.4.3 RBAC控制模型 (Page 194)
- 7.4.4 系统鉴权 (Page 195)
- 7.4.5 系统隔离 (Page 196)
- 7.5 API接口访问安全 (Page 196)
- 7.5.1 IP白名单 (Page 197)
- 7.5.2 摘要认证 (Page 198)
- 7.5.3 OAuth认证 (Page 199)
- 7.6 防止接口重放 (Page 202)
- 7.6.1 使用时间戳 (Page 202)
- 7.6.2 使用Nonce (Page 203)
- 7.6.3 同时使用时间戳和Nonce (Page 205)
- 7.7 小结 (Page 207)
- 第8章 PHP业务逻辑安全 (Page 208)
- 8.1 短信安全 (Page 208)
- 8.1.1 短信的安全隐患 (Page 208)
- 8.1.2 短信安全策略 (Page 209)
- 8.2 敏感信息泄露 (Page 210)
- 8.2.1 登录密码泄露 (Page 210)
- 8.2.2 登录信息泄露 (Page 210)
- 8.2.3 资源遍历泄露 (Page 210)
- 8.2.4 物理路径泄露 (Page 211)
- 8.2.5 程序使用版本泄露 (Page 212)
- 8.2.6 JSON劫持导致用户信息泄露 (Page 212)
- 8.2.7 源代码泄露 (Page 213)
- 8.3 人机识别策略 (Page 213)
- 8.3.1 图片验证码 (Page 214)
- 8.3.2 短信验证码 (Page 215)
- 8.3.3 语音验证码 (Page 215)
- 8.3.4 其他验证方式 (Page 217)
- 8.4 常见业务流程安全 (Page 217)
- 8.4.1 注册安全 (Page 217)
- 8.4.2 登录安全 (Page 217)
- 8.4.3 密码找回安全 (Page 219)
- 8.4.4 修改密码安全 (Page 221)
- 8.4.5 支付安全 (Page 222)
- 8.5 其他业务安全 (Page 223)
- 8.6 小结 (Page 224)
- 第9章 应用软件安全 (Page 225)
- 9.1 应用指纹安全 (Page 225)
- 9.2 服务器端口安全 (Page 226)
- 9.3 Apache的使用安全 (Page 229)
- 9.3.1 运行安全 (Page 230)
- 9.3.2 访问安全 (Page 231)
- 9.3.3 隐藏Apache版本号 (Page 231)
- 9.3.4 目录和文件安全 (Page 232)
- 9.3.5 防止目录遍历 (Page 233)
- 9.3.6 日志配置 (Page 235)
- 9.3.7 　413错误页面跨站脚本漏洞 (Page 237)
- 9.3.8 上传目录限制 (Page 238)
- 9.4 Nginx的使用安全 (Page 238)
- 9.4.1 运行安全 (Page 238)
- 9.4.2 项目配置文件 (Page 239)
- 9.4.3 日志配置 (Page 239)
- 9.4.4 目录和文件安全 (Page 241)
- 9.4.5 隐藏版本号 (Page 241)
- 9.4.6 防止目录遍历 (Page 242)
- 9.4.7 Nginx文件类型错误解析漏洞 (Page 242)
- 9.4.8 IP访问限制 (Page 244)
- 9.5 MySQL的使用安全 (Page 245)
- 9.5.1 运行安全 (Page 246)
- 9.5.2 密码安全 (Page 247)
- 9.5.3 账号安全 (Page 247)
- 9.5.4 数据库安全 (Page 248)
- 9.5.5 限制非授权IP访问 (Page 249)
- 9.5.6 文件读取安全 (Page 249)
- 9.5.7 常用安全选项 (Page 250)
- 9.5.8 数据安全 (Page 252)
- 9.6 Redis的使用安全 (Page 252)
- 9.6.1 密码安全 (Page 252)
- 9.6.2 IP访问限制 (Page 253)
- 9.6.3 运行安全 (Page 253)
- 9.7 Memcache的使用安全 (Page 254)
- 9.7.1 IP访问限制 (Page 254)
- 9.7.2 使用SASL验证 (Page 255)
- 9.8 小结 (Page 258)
- 第10章 企业研发安全体系建设 (Page 259)
- 10.1 微软工程项目安全简介 (Page 259)
- 10.2 OWASP软件保障成熟度模型简介 (Page 260)
- 10.3 建立合理的安全体系 (Page 260)
- 10.3.1 制定安全规范标准 (Page 260)
- 10.3.2 业务需求安全分析 (Page 261)
- 10.3.3 编码过程安全 (Page 262)
- 10.3.4 进行安全测试 (Page 262)
- 10.3.5 线上安全 (Page 262)
- 10.4 安全应急响应 (Page 262)
- 10.5 小结 (Page 263)
- 附　录 (Page 264)
- 附录1 PHP各版本漏洞 (Page 264)
- 附录2 常见PHP开源系统指纹 (Page 297)

下载链接：